用于保护并控制对数据进行访问的技术制造技术

各个实施例涉及用于以分散式方式来控制对数据进行访问的技术。一种装置包括：分派组件，所述分派组件用于基于数据项的组织结构来将所述数据项分成多个部分；树组件，所述树组件用于基于所述组织结构来生成包括多个节点和分支结构的PRN树，所述多个包括至少一个分支节点以及与所述多个部分相对应的多个叶节点；PRN组件，所述PRN组件用于生成所述多个中的每个节点的PRN，所述PRN组件用于使用所述PRN树的分支节点的PRN来生成从所述分支节点下垂的叶节点的PRN；以及通信组件，所述通信组件用于向服务器传输所述多个部分以及基于所述PRN树的叶节点的PRN的多个地址。描述并要求保护了其他实施例。

【技术实现步骤摘要】
【国外来华专利技术】用于保护并控制对数据进行访问的技术
技术介绍
已经广泛采用了以可由多个人员访问的方式来安全地存储数据同时还控制访问范围和类型的各种方法。这类方法通常包括使用密码、指纹、基于时间的安全密钥和/或其他形式的安全令牌来控制可用的访问范围和/或类型以及向谁授权所述访问。然而，这类方法通常需要某种形式的集中式管理来提供这种控制，包括对与向每个用户和/或用户组授权的访问范围和/或类型有关的数据进行维护。换言之，这类方法通常需要为每个用户和/或用户组建立与关于访问的这种信息相关联的账户。除了建立和维持这种集中式控制所需的成本、复杂性和监管之外，每个用户和/或用户组的关于访问的这种信息的集中式存储库的存在的事实附加地为为了恶意目的而设法获取这种信息的人创造了目标。这通常导致有效地保护这种集中式存储库免于偷窃所述信息的恶意行为需要大量附加支出和进一步监管。附图说明图1展示了数据存储系统的示例实施例。图2展示了用于准备数据以便进行存储的计算设备的示例实施例。图3A、图3B、图3C、图3D和图3E一起展示了准备数据以便由服务器以可通过网络安全地访问的方式来进行存储的示例实施例。图4展示了用于以可通过网络安全地访问的方式来存储数据的服务器的示例实施例。图5A、图5B、图5C和图5D一起展示了准备数据以便进行存储的另一个示例实施例。图6展示了用于通过网络安全地访问数据的计算设备的示例实施例。图7、图8和图9各自展示了根据实施例的逻辑流程。图10展示了根据实施例的处理架构。具体实施方式各个实施例总体上涉及用于以避免显著的集中式管理努力和成本的分散式方式来保护和控制对数据的访问范围和类型的技术。数据被分成多个部分，其中，每个部分与层次伪随机数(PRN)树的叶节点相关联，所述PRN是以与树的顶部节点相关联的种子值开始而伪随机地生成的。从PRN树顶部的顶部节点起并向朝着PRN树的底部的叶节点向下前进，从与每个紧接着前一个更高层的分支节点相关联的(多个)PRN中伪随机地生成与树的每个更低层的分支节点相关联的PRN，直到生成与叶节点相关联的PRN。可以通过以下方式来限制向任何一个用户或用户组授权的对数据的访问范围：除了与PRN树的顶部分支节点相关联的PRN之外，提供与PRN树的叶节点或分支节点相关联的PRN。可以通过以下方式来限制向任何一个用户或用户组授权的对数据的访问类型：采用具有完全相同的分支结构的并行树，其中，一个树与授权读取访问相关联，并且另一个树与授权附加访问(包括修改数据的许可)相关联。种子值本身可以伪随机地生成或者可以使用数字随机数发生器来生成，所述数字随机数发生器采用量子效应和/或其他技术来生成具有充分随机性程度的种子值以便避免通常与选择可能由其他人基于对个人的了解以某种方式猜到的种子值的所述人员相关联的安全风险。可以将种子的位宽和贯穿这种PRN树从所述种子中导出的PRN的位宽选择为足够大以便限定每个PRN的可能数值范围，所述范围足够大以便使对稀疏编址方案的创建成为可能，在所述方案中，猜到基于叶节点的PRN的地址变得极其困难。通过示例的方式，可以将种子和从其中导出的所有PRN的宽度选择为256位以便限定能够通过所述量的位来表示的许多可能值，所述可能值可能是与组成地球的沙粒或土粒的量类似的数量级，或者宇宙中天体中的所有天体的量。因此，甚至在最高执行形式的计算机技术的帮助下，也有可能需要非常大数量的年份(否则，十年)来完成对这种PRN的可能值中的所有可能值进行迭代以及检查在基于那些PRN的地址处可能存在什么数据。在将种子和从其中导出的PRN的位宽选择为如此大的情况下，并且在也至少伪随机地生成种子的情况下，在用作大量个人和/或个人组(例如，公司或政府实体)当中的地址的基础的PRN之间的冲突可能性在统计上极小。因此，组成人员组的每个人或实体可以生成PRN，将使可能存储数据部分的地址基于所述PRN，而无需在其当中进行协调并且具有这样一种信心：以此方式来生成的地址在统计上高度不可能正由另一个人员或实体使用。换句话说，对足够大位宽的使用可以使多个人员和/或实体能够对地址进行完全分散式和无协调生成并且将所述地址用于存储数据部分，而很少关心或不关心两个或更多个人员或实体竞争同一个地址的可能性。可以向由一个或多个服务器维持的一个或多个存储设备内的存储位置分配以此方式生成的地址，并且可以在网络(比如，互联网)上使用那些地址来进行访问。每个这种存储位置可以具有很大或很小的大小和/或可以基于存储于其中的数据部分的大小而具有可变大小。一个或多个这种服务器可能不存储或以其他方式不可访问种子值或对向所述一个或多个服务器提供数据以便如此存储的人员或实体中的任何人员或实体采用什么随机数生成和/或伪随机数生成算法的指示。相反，每个这种人员或实体所采用的计算设备可以采用他们选择的伪随机生成算法和种子值来导出用于存储那些数据部分的地址所基于的PRN。然后，那些计算设备可以向所述一个或多个服务器传输数据部分和相关联地址以便进行存储。在接收到这种数据部分和相关联地址时，所述一个或多个服务器可以将每个数据部分存储在所述一个或多个存储设备内的单独存储位置中并且可以向那些位置分配所接收到的基于PRN的地址，从而使得所接收到的那些地址随后可用于访问那些存储位置内的那些部分。PRN树的顶部分支节点和种子值可以与被分成多个部分的单条数据相关联，从而使得向下到达与那些部分相关联的叶节点的分支可以在PRN树的顶部立即开始。可替代地，PRN树的顶部和种子值可以与关联于人员、人员组、公司实体、政府实体等的多条数据的集合相关联。因此，在树顶部的顶部分支节点处，每个分支可以与单独的一条数据和/或单独的数据种类(比如，单独的文档、更大人员组中的单独人员或部门的工作、单独的日历和财年、单独的项目等)相关联。基于组织数据的无论什么方式都可以视为是期望的，可以组织或在PRN树的一个或多个最顶部分支层当中分布多条数据的方法可以是完全任意的。数据可以是各种类型的数据中的任何数据，包括但不限于，记录的或计算机生成的音频、记录的或计算机生成的视频、静止图像、数值、文本、生物特征数据、个人可识别信息(例如，姓名、街道地址、电话号码等)、病历、财务信息、通信记录、业务记录、政府记录、3D模型和/或蓝图。可以任意选择将数据分成所述多个部分的粒度，从而使得与PRN树的叶节点相关联的每个数据部分可以是字母、字、短语、句子、段落、章节、数值、列、行、表格、计算结果、曲线图、图形、图像、图像的一部分、图像系列、音位、音节、音频的时间片、索引的条目或条目范围和/或任何其他形式的对数据的任意限定分派。可以确定对一条数据的部分或对多条数据的访问范围，按照所述范围向寻求访问的人员的计算设备提供PRN树中的PRN层级中的PRN。通过示例的方式，在一条数据是具有多个段落的文档的情况下并且在每个段落与层级PRN树的叶节点相关联的情况下，可以通过提供所述PRN树中与所述单个段落相关联的叶节点的PRN来授权对所述文档的单个段落的访问。在种子和PRN采用足够大的位宽的情况下，对与所述单个段落相关联的所述PRN的提供将不会使试图获得对所述文档的更多内容的访问而猜到或导出PRN树中的更高层PRN中的任何PRN或其他叶节点的PRN中的本文档来自技高网...

【技术保护点】
一种装置，包括：逻辑，所述逻辑的至少一部分是用硬件实现的，所述逻辑包括：分派组件，所述分派组件用于基于数据项的组织结构来将所述数据项分成多个部分；树组件，所述树组件用于基于所述数据项的所述组织结构来生成包括第一多个节点以及分支结构的第一伪随机数(PRN)树，所述第一多个节点包括至少一个分支节点以及多个叶节点，在所述至少一个分支节点处发生分支，所述多个叶节点中的每个叶节点与所述多个部分中的一个部分相对应；PRN组件，所述PRN组件用于生成所述第一多个节点中的每个节点的PRN，所述PRN组件用于使用所述第一PRN树的分支节点的PRN来生成从所述分支节点下垂的叶节点的PRN；以及通信组件，所述通信组件用于经由网络向服务器传输所述多个部分以及基于所述第一PRN树的叶节点的PRN的多个地址，以便使所述服务器能够将每个部分存储在所述多个地址中的地址处。

【技术特征摘要】
【国外来华专利技术】2015.03.25 US 14/668,6341.一种装置，包括：逻辑，所述逻辑的至少一部分是用硬件实现的，所述逻辑包括：分派组件，所述分派组件用于基于数据项的组织结构来将所述数据项分成多个部分；树组件，所述树组件用于基于所述数据项的所述组织结构来生成包括第一多个节点以及分支结构的第一伪随机数(PRN)树，所述第一多个节点包括至少一个分支节点以及多个叶节点，在所述至少一个分支节点处发生分支，所述多个叶节点中的每个叶节点与所述多个部分中的一个部分相对应；PRN组件，所述PRN组件用于生成所述第一多个节点中的每个节点的PRN，所述PRN组件用于使用所述第一PRN树的分支节点的PRN来生成从所述分支节点下垂的叶节点的PRN；以及通信组件，所述通信组件用于经由网络向服务器传输所述多个部分以及基于所述第一PRN树的叶节点的PRN的多个地址，以便使所述服务器能够将每个部分存储在所述多个地址中的地址处。2.如权利要求1所述的装置，所述树组件用于在所述第一PRN树的顶部生成所述至少一个分支节点的顶部分支节点并且用于生成从所述至少一个分支节点下垂并朝着所述第一PRN树的底部延伸的所述叶节点，并且所述PRN组件用于使用所述顶部分支节点的所述PRN作为种子值来生成从所述顶部分支节点下垂的分支节点的PRN。3.如权利要求1所述的装置，所述PRN组件用于使用叶节点的PRN作为种子来生成所述叶节点的加密PRN，所述装置包括加密组件，所述加密组件用于在向所述服务器传输所述多个部分中与所述叶节点相对应的所述部分之前使用所述加密PRN作为加密密钥来对所述部分进行加密。4.如权利要求3所述的装置，所述PRN组件用于使用所述叶节点的所述PRN作为种子来生成所述叶节点的验证PRN，所述装置包括验证组件，所述验证组件用于在对所述部分进行加密之后使用所述验证PRN作为密码散列函数的输入来得到所述部分的第一密码散列。5.如权利要求4所述的装置，所述通信组件用于向所述服务器传输对与所述叶节点相对应的所述部分的访问的请求，所述验证组件用于得到从所述服务器接收的所述部分的第二密码散列并将所述第一密码散列与第二密码散列进行比较以便验证从所述服务器接收的所述部分的完整性，并且所述加密组件用于在对所述部分的完整性进行验证之后使用所述加密PRN来对所述部分进行解密。6.如权利要求1所述的装置，所述通信组件用于向计算设备传输所述第一PRN树的分支节点的第一PRN以及对所述分支结构的指示，以便通过以下方式来向所述计算设备授权对由所述服务器存储的所述多个部分中的一个部分进行第一类型的访问：使所述计算设备能够使用所述第一PRN作为种子来至少生成所述第一PRN树中与所述部分相对应的所述叶节点的PRN以便由所述计算设备用作向所述服务器传输的对所述部分进行所述第一类型的访问的请求中的地址，所述第一PRN树的所述分支结构以及对所述第一PRN的所述分支节点的选择相协作以便限定向所述计算设备授权的所述第一类型的访问的范围。7.如权利要求1所述的装置，所述数据项包括以下各项中的至少一项：文本、表格、静止图像、图表、曲线图、运动视频、音频、方程、生物特征数据、基因序列、财务数据、统计数据、行为数据、位置数据或开销数据；并且所述多个部分中的一个部分包括以下各项中的至少一项：字母、字、句子、段落、页、表格、静止图像、图表、曲线图、运动视频帧或所记录音频的一部分。8.如权利要求1所述的装置，所述逻辑包括随机数发生器(RNG)，所述RNG包括用于基于量子效应或噪声源中的至少一项来生成种子值的电路系统，所述PRN组件用于触发所述RNG以便生成所述种子值，并且所述PRN组件用于从所述种子值中生成所述第一PRN树顶部处的顶部分支节点的PRN。9.如权利要求8所述的装置，所述RNG包括用于生成PRN的电路系统，并且所述PRN组件用于触发所述RNG以便生成所述第一多个节点中的每个节点的PRN。10.一种计算机实现的方法，包括：基于数据项的组织结构来将所述数据项分成多个部分；基于所述数据项的所述组织结构来生成包括第一多个节点以及分支结构的第一伪随机数(PRN)树，所述第一多个节点包括至少一个分支节点以及多个叶节点，在所述至少一个分支节点处发生分支，所述多个叶节点中的每个叶节点与所述多个部分中的一个部分相对应；生成所述第一多个节点中的每个节点的PRN，所述第一PRN树的分支节点的所述PRN被用作种子以生成从所述分支节点下垂的叶节点的PRN；以及向服务器传输所述多个部分以及基于所述第一PRN树的叶节点的PRN的多个地址，以便使所述服务器能够将每个部分存储在所述多个地址中的地址处。11.如权利要求10所述的计算机实现的方法，所述方法包括：使用叶节点的PRN作为种子值来生成所述叶节点的加密PRN；以及在向所述服务器传输所述多个部分中与所述叶节点相对应的所述部分之前，使用所述加密PRN作为加密密钥来对所述部分进行加密。12.如权利要求11所述的计算机实现的方法，所述方法包括：使用所述叶节点的所述PRN作为种子值来生成所述叶节点的验证PRN；在对所述部分进行加密之后使用所述验证PRN作为密码散列函数的输入来得到所述部分的第一密码散列；向所述服务器传输对与所述叶节点相对应的所述部分的访问的请求；在解密之后得到从所述服务器接收的所述部分的第二密码散列；将所述第一密码散列与第二密码散列进行比较以便验证从所述服务器接收的所述部分的完整性；以及在对所述部分的完整性进行验证之后使用所述加密PRN来对所述部分进行解密。13.如权利要求10所述的计算机实现的方法，所述方法包括：向计算设备传输所述第一PRN树的分支节点的第一PRN以及对所述分支结构的指示，以便通过以下方式来向所述计算设备授权对由所述服务器存储的所述多个部分中的一个部分进行第一类型的访问：使所述计算设备能够使用所述第一PRN作为种子来至少生成所述第一PRN树中与所述部分相对应的所述叶节点的PRN以便由所述计算设备用作向所述服务器传输的对所述部分进行所述第一类型的访问的请求中的地址，所述第一PRN树的所述分支结构以及对所述第一PRN的所述分支节...

【专利技术属性】
技术研发人员：W·德里武，N·史密斯，
申请(专利权)人：英特尔公司，
类型：发明
国别省市：美国,US